Acceder sin autorización a una computadora, interceptar información, alterar datos bancarios, suplantar una identidad o utilizar programas diseñados para cometer ataques informáticos son algunos de los delitos que pretende tipificar la propuesta de Ley de Ciberseguridad que se discute en el Congreso.
La iniciativa 6347, que se encuentra bajo discusión entre comisiones, incluye un capítulo dedicado a los ciberdelitos, en el que se establecen conductas que afectan la confidencialidad, integridad y disponibilidad de los datos y sistemas informáticos.
Además, figuran otras relacionadas con la falsificación, la suplantación de identidad, el abuso de dispositivos y el fraude informático.
Es en este apartado donde las comisiones de Seguridad Nacional, Economía y Comercio Exterior se estancaron el pasado miércoles y no se logró llegar al dictamen. Mientras la ley no sea aprobada y entre en vigencia, varios de los delitos que se siguen cometiendo no pueden ser perseguidos, según expertos y autoridades.
Para un usuario común, algunos de los términos pueden sonar demasiado técnicos; sin embargo, detrás de cada uno hay situaciones que pueden afectar directamente información personal, cuentas, dinero o incluso servicios que utilizamos a diario.
ENTRAR A UN SISTEMA SIN AUTORIZACIÓN
Uno de los delitos contemplados es el acceso ilícito, que se produciría cuando una persona ingresa deliberadamente y de manera ilegítima a todo o parte de un sistema informático.
La iniciativa contempla tanto el ingreso infringiendo medidas de seguridad como aquel que se hace con la intención de obtener datos o cometer un delito.
La pena propuesta es de cuatro a seis años de prisión, además de una multa de entre 20 y 200 salarios mínimos mensuales para actividades no agrícolas.
La norma pretende que entrar a un sistema digital ajeno sin autorización pueda tener una consecuencia penal, especialmente cuando para hacerlo se vulneran mecanismos de seguridad o existe la intención de obtener información sensible.
INTERCEPTAR INFORMACIÓN MIENTRAS SE TRANSMITE
También se incluye la interceptación ilícita, que consiste en capturar deliberadamente y sin autorización datos informáticos que se encuentren en transmisiones restringidas, dirigidas u originadas en un sistema tecnológico.
El texto abarca incluso casos en los que se use ingeniería social para lograr esa interceptación.
La pena propuesta va de seis a 10 años de prisión, con multas de 100 a 200 salarios mínimos mensuales. La sanción aumentaría en una tercera parte cuando la interceptación se realice desde un sistema conectado a otro sistema o cuando el responsable sea un funcionario o empleado público.
EE. UU. destaca cooperación con Guatemala para fortalecer la ciberseguridad ante recientes ataques
ALTERAR, BORRAR O DESTRUIR DATOS
Otro de los delitos es el ataque a la integridad de los datos informáticos. La iniciativa incluye acciones como dañar, borrar, deteriorar, modificar, alterar o suprimir datos o registros informáticos cuando se realizan deliberadamente y sin autorización.
La pena sería de cinco a siete años de prisión, además de una multa de entre 100 y 250 salarios mínimos mensuales.
Aunque también se establece una sanción mayor si la información afectada está relacionada con actividades comerciales o financieras, activos o pasivos bancarios, estados contables o la situación patrimonial de personas o empresas.
En estos casos, la pena sería de seis a ocho años con multas de 200 a 500 salarios mínimos.
ATACAR EL FUNCIONAMIENTO DE UN SISTEMA
La iniciativa diferencia la alteración de datos del ataque a la integridad del sistema informático. En este caso, la acción consiste en obstaculizar o perturbar el funcionamiento de un sistema mediante la introducción, transmisión, daño, borrado, deterioro, modificación, alteración o supresión de la información.
La pena planteada es de seis a nueve años de prisión, con multas de 100 a 300 salarios mínimos mensuales.
Acá también hay penas más elevadas, en caso de que el sistema afectado esté relacionado con infraestructuras críticas, servicios públicos, registros oficiales, registros bancarios, financieros o tributarios.
En esos casos, la pena sería de siete a 10 años, con multas de hasta 500 salarios mínimos mensuales.
La diferencia acá es que una cosa es modificar información y otra provocar que el sistema que depende de ella deje de funcionar correctamente.
FABRICAR INFORMACIÓN DIGITAL FALSA
La falsificación informática se refiere a introducir, alterar, borrar o suprimir datos almacenados con el propósito de generar información diferente para que posteriormente sea utilizada y produzca efectos legales como si fuera auténtica.
La pena podría ser de dos a seis años de prisión, además de una multa de 20 a 200 salarios mínimos mensuales.
La figura busca atender un problema propio de la transformación digital, y es que documentos y registros que antes podían existir únicamente en papel ahora pueden ser creados y modificados dentro de sistemas informáticos.
SUPLANTAR LA IDENTIDAD DE OTRA PERSONA
La propuesta también tipifica la apropiación de identidad ajena. Se trata de usurpar, falsificar, adoptar o suplantar, sin autorización, la identidad de una persona individual o jurídica mediante un sistema informático.
La pena propuesta es de tres a seis años de prisión, con una multa de 40 a 100 salarios mínimos. Cuando la acción se cometa infringiendo medidas de seguridad, la pena subiría de cuatro a siete años, con multas de 40 a 200 salarios.
La norma busca establecer una respuesta penal cuando la tecnología sea utilizada deliberadamente para hacerse pasar por otra persona o entidad.
USAR O DISTRIBUIR HERRAMIENTAS DESTINADAS A COMETER DELITOS
Otro punto de la iniciativa es el abuso de dispositivos o accesos.
La propuesta contempla conductas como producir, vender, obtener, poseer, importar, difundir o poner a disposición dispositivos, programas, aplicaciones o sistemas concebidos o adaptados principalmente para cometer los delitos establecidos en los artículos anteriores.
También incluye contraseñas, códigos de acceso y datos informáticos similares cuando sean puestos a disposición con la intención de que sean utilizados para cometer los anteriores ciberdelitos.
La pena planteada es de tres a seis años de prisión, además de multas de 20 a 200 salarios mínimos mensuales.
USAR TECNOLOGÍA PARA OBTENER DINERO O BIENES SIN AUTORIZACIÓN
La iniciativa también abarca el fraude informático, definido como la conducta de quien busca obtener un beneficio para sí mismo o para un tercero mediante acciones que involucren ingeniería social o manipulación de un sistema tecnológico para conseguir la transferencia no autorizada de un activo patrimonial en perjuicio de otra persona.
La pena propuesta es de cuatro a ocho años de prisión, con multas de 100 a 300 salarios mínimos.
INICIATIVA TAMBIÉN INCLUYE AGRAVANTES
Además de las conductas anteriores, el texto establece agravantes generales para los delitos comprendidos entre los artículos 7 y 14.
Las penas podrían aumentar en una tercera parte, entre otros casos, cuando el responsable sea o haya sido trabajador de la persona o entidad afectada.
También, cuando se trate de un funcionario o empleado público, además podría existir inhabilitación para ejercer funciones públicas durante el período de la pena principal.
Además, cuando la acción afecte datos confidenciales, reservados o relacionados con seguridad nacional, cuando exista un beneficio económico ilícito o cuando el hecho busque deteriorar infraestructura crítica del Estado.
¿GUATEMALA NO TIENE DELITOS INFORMÁTICOS O NECESITA ACTUALIZAR CÓMO LOS REGULA?
La Hora, en coberturas anteriores sobre el tema de ciberseguridad, ha conversado con analistas expertos en el tema acerca de la ley y los delitos que tipifica.
El analista en ciberseguridad Héctor Prado considera que Guatemala tiene un marco legal que no responde adecuadamente al entorno tecnológico actual.
Según él, conceptos como la suplantación digital y el uso de datos no están suficientemente contemplados en la legislación y es necesario modernizar sus normas para establecer, entre otras cosas, qué son los datos personales, cómo deben protegerse y cómo deben manejarse los datos sensibles.
“Tu ley de referencia es análoga y estás en una época digital.”
Prado aseguró que la discusión no debería limitarse a establecer penas, sino también a definir responsabilidades de las instituciones públicas y quién debe encargarse de la ciberseguridad dentro de cada dependencia.
Por otra parte, el analista Irwin Samon propone un camino parecido. Explicó que los países que han avanzado en esta materia primero desarrollaron una estrategia nacional de ciberseguridad para identificar instituciones críticas, amenazas y mecanismos para reducir los riesgos.
Solo después de esto, se desarrolló una legislación para determinar qué conductas constituyen ciberdelitos y qué consecuencias deben enfrentar sus responsables.
De igual manera, el analista Luis Assardo aclaró que no todo delito cometido con tecnología es un ciberdelito.
Considera que Guatemala debería partir de la clasificación establecida en el Convenio de Budapest y distinguir entre los delitos que existen específicamente gracias a la tecnología y aquellos delitos tradicionales que simplemente encuentran en internet una nueva herramienta para cometerse.
